Eine neue AWS Control Tower Landing Zone wurde innerhalb einer AWS Organization erstellt. Die Landing Zone muss die Einhaltung der CIS AWS Foundations-Benchmarks nachweisen, und das Sicherheitsteam sollte aggregierte Security Hub-Ergebnisse über alle Konten hinweg einsehen können (nur das Sicherheitsteam kann aggregierte Ergebnisse einsehen). Bestimmte Benutzer müssen in der Lage sein, Ergebnisse für ihre eigenen Konten einzusehen. Alle Konten müssen bei ihrer Erstellung automatisch in Security Hub registriert werden. Welche Schritte, die größtenteils automatisch ausgeführt werden, erreichen dies? (Wählen Sie drei.)

Die erste korrekte Option aktiviert den vertrauenswürdigen Zugriff für Security Hub in der Organisation und weist ein dediziertes Sicherheitskonto als delegierten Administrator zu. Dies ermöglicht die zentrale Verwaltung von Security Hub und die Aggregation von Ergebnissen, während der CIS AWS Foundations-Standard auf Organisationsebene aktiviert wird. Die zweite korrekte Option beschreibt, wie Berechtigungen für das Sicherheitsteam über AWS IAM Identity Center (ehemals AWS SSO) verwaltet werden können, um ihnen Zugriff auf die aggregierten Security Hub-Ergebnisse im delegierten Sicherheitskonto zu gewähren. Die dritte korrekte Option stellt sicher, dass alle neuen Konten automatisch in Security Hub registriert werden, was die Compliance-Überwachung vereinfacht. Die Option, den CIS AWS Foundations-Standard vom Verwaltungskonto aus zu aktivieren, ist nicht optimal, da die Aggregation und Verwaltung der Ergebnisse idealerweise über ein delegiertes Sicherheitskonto erfolgen sollte. Eine SCP, die den Zugriff verweigert, ist zu restriktiv, da bestimmte Benutzer Ergebnisse für ihre eigenen Konten einsehen können müssen. Eine EventBridge-Regel und Lambda-Funktion sind unnötig, da Security Hub eine automatische Aktivierungsfunktion für neue Konten bietet.